veonua/jwt_auth

JWT Authentication for K8s Ingress

镜像概述和主要用途

这是一个简单的外部认证微服务，用于Nginx，实现基于RS256算法的JWT（JSON Web Token）验证。该应用使用PyJwt库验证JWT签名，专为与https://github.com/nginxinc/kubernetes-ingress%E5%92%8Chttps://github.com/kubernetes/ingress-nginx%E9%85%8D%E5%90%88%E4%BD%BF%E7%94%A8%E8%80%8C%E8%AE%BE%E8%AE%A1%EF%BC%8C%E6%9C%AA%E5%9C%A8%E5%85%B6%E4%BB%96%E6%8E%A7%E5%88%B6%E5%99%A8%E4%B8%8A%E6%B5%8B%E8%AF%95%E3%80%82

核心功能和特性

• JWT验证：支持RS256算法验证JWT签名
• Token提取：从HTTP请求的Authorization: Bearer {JWT}头中提取JWT
• 声明转换：将JWT中的声明解码后，以X-JWT-{claim-key}: {claim-value}格式发送扩展头，供Nginx访问
• Ingress集成：可与指定的Kubernetes Ingress控制器配合，实现基于JWT声明的路由和访问控制

使用场景和适用范围

适用于Kubernetes环境中需要基于JWT声明进行请求路由或访问控制的场景，例如：

• 根据JWT中的租户信息（如tenant声明）将请求路由到不同的后端服务
• 基于JWT声明进行细粒度的访问控制
• 与NGINX Ingress Controller或Kubernetes Ingress Controller集成，增强Ingress的认证能力

使用方法和配置说明

工作原理

HTTP服务器期望在Authorization: Bearer {JWT}头中接收认证token，服务解码JWT声明后，会发送格式为X-JWT-{claim-key}: {claim-value}的扩展头。这些声明可通过Nginx配置中的auth_request_set $jwt_claim_name1 $upstream_http_x_jwt_name1;指令访问。

Ingress配置示例

以下是基于JWT声明进行路由的Nginx Ingress配置示例：

yaml
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    certmanager.k8s.io/cluster-issuer: letsencrypt-production
    kubernetes.io/ingress.class: nginx
    nginx.org/server-snippets: |
        resolver 10.0.0.10 ipv6=off;

        location = /_auth {
            internal;
            proxy_pass http://jwt.default.svc.cluster.local:8000;  # JWT认证服务的地址
            proxy_pass_request_body off;
            proxy_set_header  Content-Length "";
            proxy_set_header  X-Original-URI $request_uri;
        } 

        location ~ /(.*) {
            proxy_buffering off;
            proxy_connect_timeout 360s;
            proxy_read_timeout 360s;
            proxy_send_timeout 360s;
            client_max_body_size 10m;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-Server $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            
            auth_request /_auth;  # 调用JWT认证服务
            auth_request_set $jwt_claim_tenant $upstream_http_x_jwt_tenant;  # 提取JWT中的tenant声明
            proxy_pass "http://$jwt_claim_tenant-$1.default.svc.cluster.local:8080/";  # 基于tenant声明路由
            }
  name: example
  
spec:
  rules:
  - host: domain.example.com
    http:
      paths:
      - backend:
          serviceName: unsecure
          servicePort: 8000
        path: /unsecure
  tls:
  - hosts:
    - domain.example.com
    secretName: tls-secret

部署说明

在Kubernetes中部署时，需确保JWT认证服务（如示例中的jwt.default.svc.cluster.local:8000）已正确部署，并可被Ingress控制器访问。建议通过Kubernetes Deployment和Service资源部署该服务，具体配置需根据实际环境调整。

注意：原文档提到"TODO: Helm chart"，目前可能暂未提供Helm chart，需手动部署。